英国在关键基础设施网络安全领域处于领军

　　根据能源运营商英国国家电网数字化风险和安全管理经理戴维·威拉西介绍，目前，在重要国家基础设施的网络安全领域，英国处于国际领先水平。

　　但是，英国及其他国家在能源领域仍然迫切需要在企业文化方面进行真正的变革，他在伦敦召开的网络安全峰会上告诉与会者们说。

　　“能源部门需要意识到他们不再仅仅只是工程企业，同时还是IT工程企业，因为能源网络现在完全依赖于IT的运作，而安全性恰恰是其中最薄弱的环节。”威拉西说。

　　他说，技术变革的速度已然改变了这个世界，而诸如移动技术正大范围的扩展到了能源部门和大部分的关键基础设施领域的并行操作技术中。

　　“与此同时，除了少数大型发电机在过去能够更轻松地实现自我管理外，鉴于当前更多地使用可再生能源资源，用来运行和管理电网的系统都变得越来越复杂和自动化”威拉西说。

　　“风险状况的快速变化，再加上安全威胁的迅速增加，使得安全监控和数据采集(Scada)和工业控制系统(ICS)成为了一个相当关键问题。”他说。

　　为了应对这种变化，英国国家电网组建了专门的业务连续性团队、网络安全团队和物理安全团队，所有团队均向CIO报告。在过去10年中，该公司还将专门处理网络安全事务的员工数量由1人增加至50人。

　　英国能源部门的网络安全在欧洲处于领先，虽然目前的状况尚不甚理想，威拉西说，但其他国家则处在一个更糟糕的状态，很多国家才刚刚开始意识到这方面的问题。

　　“计算机可以以损伤物理设备和硬件的方式被操纵，并继续部署Scada和其他类型的智能设备到能源网络，以扩大攻击面，增加风险。因此，对所有国家来说，确保能源基础设施是安全的，对威胁是有弹性的，并有能力从任何灾害事件中恢复是至关重要的。”他说。

　　在任何现代国家，最关键的系统均需要依赖于能源。因为如果没有能源动力，其他关键部门将无法操作，威拉西称。他还补充道：“但现在，能源部门需要广泛投资控制领域，以减少主要风险这一理念已经被广泛接受了。”

　　为了说明网络安全威胁，威拉西列举了最近的一项实验，以看起来像是属于自来水公司的伪装IT系统的形式，建立的面向Internet的蜜罐。

　　他说，第一次攻击在几个小时之内到来，在28天里，来自14个不同国家的39次攻击。在这39次攻击中，12次独特的，可以被单独归类;而13次是针对相同目标的重复攻击。然而，威拉西表示说，虽然在过去大多数攻击的目的均是为了窃取数据，而在实验中的许多攻击似乎是试图看到目标系统能否被顺利攻下。

　　随着对用于操作关键基础设施的系统，融合了物理和网络安全问题的网络资产的依赖越来越强，威拉西表示说，能源部门需要评估和缓解风险，以确保在风险和成本之间达成适当的平衡。

　　“在英国，能源部门正在与多个政府部门这样做，因为如果没有能源供应，就什么事都做不了。”威拉西说。

　　他说，挑战在于能源系统要依赖IT，而这些IT系统变得越来越复杂，其攻击面正持续增长，对于能源网络的网络攻击的威胁——尤其是来自敌对国家的攻击威胁越来越多，如果没有“数万亿英镑”的费用，许多能源网络的资产无法被改变，而大量微妙的不同IT系统均需要一款定制的方法。

　　“而其中最大的挑战之一是，该领域只有极少数人了解网络安全以及他们的能源网络。” 威拉西说。

　　主要风险

　　他确定了五大主要风险。首先，是由于缺乏安全意识而在采购和升级信息和操作技术、或由安全漏洞和恶意软件所带来的风险。威拉西列举了针对英国系统的一次攻击的例子，被曝出通过在美国插入闭路电视(CCTV)的数码录音机接入网络，推出的恶意软件。

　　其次，有一个危险的事实，关于专有的通信协议安全漏洞的信息，如Modbus协议在互联网上被广泛使用。

　　第三，由被引入到关键基础设施的新的IT资产所带来的风险。威拉西说，因为大多数现有的系统均是20世纪50年代和60年代生产的，而现在被引入的资产并没有30年的寿命，应计入折旧和投资规划。

　　“也没有针对旧系统打补丁，没有反恶意软件的保护，没有定义和管理安全边界。企业管理IT系统和业务系统的部门之间几乎没有协调，全是由工程师在负责运维。”他说。

　　第四是恶意软件的扩散。“每天有成千上万的变种病毒，如果某一天一个病毒被无意中引入到一个系统可能损害重要资产。”威拉西说。

　　最后，被引入到关键系统的连接量是巨大的风险，他说。“我们目前所开放的系统比我们封闭的系统要多很多，这就是为什么在业务层面需要掌握更多的认识，并了解运营层面的更多东西的原因了。” 威拉西说。